MaxCompute:Controle de acesso ACL

O controle de acesso baseado em ACL aplica-se aos seguintes cenários.

Antes de usar o controle de acesso baseado em ACL, certifique-se de ter as seguintes informações:

• Nome da conta ou nome da função do destinatário. O usuário ou função deve estar adicionado ao projeto do MaxCompute. Os formatos de conta são os seguintes: uma conta Alibaba Cloud segue o formato ALIYUN$<account_id>, uma conta de usuário RAM segue o formato RAM$<account_id>:<RAM user UID>, e uma função RAM segue o formato RAM$<account_id>:role/<RAM role name>.

  Execute o comando list users; ou list roles; no MaxCompute client para obter os nomes das contas ou funções.

  Para adicionar um usuário ou função, consulte User planning and management ou Role planning.

• Tipo de objeto, nome do objeto e as ações a serem concedidas.

  Para obter mais informações sobre tipos de objetos e ações, consulte MaxCompute permissions.

Os seguintes limites aplicam-se ao controle de acesso baseado em ACL:

• É possível conceder permissões apenas a usuários ou funções existentes em objetos existentes. Isso evita riscos de segurança decorrentes da exclusão e recriação de um objeto com o mesmo nome.

• O controle de acesso baseado em ACL não oferece suporte à autorização com a cláusula [with grant option]. Por exemplo, se o usuário A conceder acesso a um objeto ao usuário B, o usuário B não poderá conceder essa permissão ao usuário C.

• A autorização ACL utiliza um modelo de lista de permissões e não oferece suporte a um modelo de lista de bloqueios.

Observe os seguintes pontos ao usar o controle de acesso baseado em ACL:

• Ao excluir um objeto, o MaxCompute revoga automaticamente todas as permissões ACL associadas a ele.

• Quando um usuário é removido, suas permissões são mantidas. Se o usuário for adicionado novamente ao projeto posteriormente, suas permissões anteriores serão restauradas automaticamente. Para limpar permanentemente as permissões de um usuário, consulte Clear residual permissions of a removed user.

Os comandos de controle de acesso baseado em ACL usam a seguinte sintaxe:

• Conceder permissões ACL

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• Revogar permissões ACL

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• Controle de acesso no nível de coluna

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

A tabela a seguir descreve os parâmetros.

Considere que Bob@aliyun.com (ID da conta: 5527xxxxxxxx5788) seja o proprietário do projeto test_project_a, e que Allen (UID: 1652xxxxxxxxxx1538), Alice (UID: 2763xxxxxxxxxx1649) e Tom (UID: 3874xxxxxxxxxx1850) sejam usuários RAM sob Bob@aliyun.com. Os exemplos a seguir demonstram operações de autorização usando o MaxCompute client.

• Exemplo 1: Conceder permissões a um usuário

  Crie a tabela sale_detail no projeto test_project_a e conceda ao usuário Allen as permissões Describe (ler metadados) e Select (ler dados) na tabela. Veja abaixo os comandos de exemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Create a partitioned table named sale_detail.
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  --Add the user Allen as a project member.
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Grant permissions to Allen.
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --View the permissions granted to Allen.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --The authorization result is as follows.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• Exemplo 2: Conceder permissões no nível de coluna a um usuário

  Usando a tabela sale_detail criada no Exemplo 1, conceda à usuária Alice todas as permissões nas colunas shop_name e customer_id da tabela sale_detail. Veja abaixo os comandos de exemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Add user Alice as a project member.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Grant column-level permissions to Alice.
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --View the permissions granted to Alice.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  --The authorization result is as follows.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• Exemplo 3: Revogar permissões de usuários

  Com base no Exemplo 1 e no Exemplo 2, revogue as permissões dos usuários Allen e Alice. Veja abaixo os comandos de exemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Revoke the permissions from Allen.
  revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Revoke the permissions from Alice.
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Check Allen's permissions after revocation. The Describe and Select permissions are removed from the permission list.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --Check Alice's permissions after revocation. The All permission is removed from the permission list.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• Exemplo 4: Conceder as mesmas permissões a múltiplos usuários usando uma função

  Conceda a Alice, Tom e outra conta Alibaba Cloud Lily@aliyun.com (ID da conta: 5638xxxxxxxx6899) as permissões para criar instâncias, recursos, funções e tabelas, além de listar todos os tipos de objetos no projeto test_project_a. Veja abaixo os comandos de exemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Add the users Alice, Tom, and Lily@aliyun.com as project members.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  --Create the Worker role.
  create role Worker; 
  --Assign the Worker role to the users.
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  --Grant the Worker role the permissions to create instances, resources, functions, and tables, and to list all object types in the test_project_a project.
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  --View the permissions for the user Lily.
  show grants for ALIYUN$5638xxxxxxxx6899; 
  --The following authorization result indicates that the user Lily has the specified permissions.
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• Exemplo 5: Revogar as mesmas permissões baseadas em função de múltiplos usuários

  Com base no Exemplo 4, revogue as permissões dos usuários Alice, Tom e Lily@aliyun.com. Veja abaixo os comandos de exemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Revoke the Worker role from the users Alice, Tom, and Lily@aliyun.com.
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  --Check Lily's permissions after revocation. The permission list no longer includes the Worker role.
  show grants for ALIYUN$5638xxxxxxxx6899; 

Após compreender o funcionamento da autorização ACL, gerencie as permissões conforme as necessidades do seu negócio:

• Project-level role authorization

• Manage user permissions using commands

• Query the permissions of a user, role, or object